RDP

Wat is RDP?

RDP (Remote Desktop Protocol) is een protocol van Microsoft waarmee een gebruiker via het netwerk een grafische Windows-sessie op een andere computer bedient, alsof hij er zelf achter zit. Het beeld van de externe computer komt naar de gebruiker toe, terwijl toetsenbord- en muisinvoer de andere kant op gaan. RDP is ingebouwd in Windows en daardoor het standaardgereedschap voor beheer van servers, engineering stations en HMI/SCADA-werkplekken. Juist die alomtegenwoordigheid maakt RDP ook een van de meest misbruikte toegangsroutes bij ransomware-aanvallen.

🔧 Hoe werkt RDP?

RDP verscheen in 1998 met Windows NT 4.0 Terminal Server Edition en bouwt voort op de ITU-T T.120-familie voor multipoint-communicatie. Het protocol werkt met virtuele kanalen: één verbinding draagt gescheiden datastromen, tot theoretisch 64.000 kanalen.

• Client - Remote Desktop Connection (mstsc.exe), de Windows App of clients voor macOS, iOS, Android en Linux (zoals FreeRDP)
• Host - de dienst Remote Desktop Services luistert standaard op poort 3389, over TCP en sinds RDP 8.0 (Windows 8 / Server 2012) ook over UDP voor betere prestaties op trage of verliesgevoelige verbindingen
• Beeld - de host stuurt tekenopdrachten en gecomprimeerde beeldfragmenten; alleen gewijzigde schermdelen worden verzonden
• Invoer - toetsaanslagen en muisbewegingen gaan van client naar host
• Omleidingen - via virtuele kanalen kunnen ook klembord, lokale schijven, printers, audio, smartcards en USB-apparaten worden doorgegeven

Windows Pro, Enterprise, Education en Windows Server kunnen als RDP-host dienen; Windows Home alleen als client. Standaard mogen leden van de groep Administrators en de lokale groep Remote Desktop Users inloggen.

🏭 Waar in het OSI- of Purdue-model zit RDP?

In het OSI-model is RDP een applicatielaagprotocol dat over TCP of UDP loopt, met versleuteling via TLS. In een OT-netwerk volgens het Purdue Model komt RDP op meerdere niveaus voor:

Het uitgangspunt is dat RDP-verkeer nooit een zonegrens oversteekt zonder tussenstation. Dat sluit aan bij het zones-en-conduits-model van IEC 62443.

🔐 Hoe veilig is RDP?

Moderne RDP-versies versleutelen standaard met TLS en ondersteunen Network Level Authentication (NLA), geïntroduceerd met RDP 6.0 in Windows Vista. Met NLA authenticeert de gebruiker zich via CredSSP voordat er een volledige sessie wordt opgebouwd, wat aanvallen zonder geldige inlog veel moeilijker maakt. Toch blijft RDP een geliefd doelwit:

BlueKeep (mei 2019) was een kwetsbaarheid zonder authenticatie in Remote Desktop Services van Windows XP tot en met Windows 7 en Server 2008 R2. Microsoft noemde haar wormable en bracht zelfs patches uit voor het niet meer ondersteunde Windows XP en Server 2003. NLA gaf gedeeltelijke bescherming, omdat een aanvaller dan eerst geldige inloggegevens nodig had. Juist in OT draaien zulke oude Windows-versies nog regelmatig op HMI’s en engineering stations.

In MITRE ATT&CK staat RDP als techniek T1021.001 onder laterale beweging. CISA en FBI noemen blootgestelde remote-desktopdiensten in hun ransomwaregids een van de meest gebruikte toegangsroutes en adviseren RDP nooit direct aan internet te hangen.

🧭 Hoe beveiligt u RDP stap voor stap in een OT-omgeving?

1. Inventariseer - breng alle systemen in kaart waarop RDP aanstaat, inclusief tijdelijke leveranciersaansluitingen. Schakel RDP uit waar het niet nodig is.
2. Sluit internet af - geen portforwarding van poort 3389. Het wijzigen van de poort is geen beveiliging; scanners vinden RDP op elke poort.
3. Centraliseer toegang - laat alle sessies lopen via een jump server of bastion host in de IDMZ, bereikbaar via VPN of RD Gateway (RDP over HTTPS op poort 443).
4. Dwing sterke authenticatie af - NLA verplicht, MFA op het toegangspunt en account lockout. Sinds Windows 11 22H2 staat op nieuwe installaties standaard een lockout na 10 mislukte pogingen voor 10 minuten.
5. Beperk rechten - houd de groep Remote Desktop Users klein, gebruik persoonlijke accounts in plaats van gedeelde, en beheer beheerdersaccounts met PAM.
6. Hard de sessie - schakel klembord- en schijfomleiding uit, stel time-outs in voor inactieve en verbroken sessies en gebruik Restricted Admin mode bij helpdesksessies naar mogelijk besmette systemen.
7. Log en monitor - stuur aanmeldgebeurtenissen (Windows-event 4624 met logontype 10, en 4625 voor mislukte pogingen) naar de SIEM en neem leverancierssessies op.
8. Patch of compenseer - volg Known Exploited Vulnerabilities voor RDP-kwetsbaarheden. Kan een HMI niet gepatcht worden, scherm haar dan af met een firewall die alleen de jump server toelaat.

Voor Nederlandse organisaties die onder de Cyberbeveiligingswet (de Nederlandse invulling van NIS2) vallen, hoort beheerste toegang op afstand bij de passende maatregelen uit de zorgplicht. Dat geldt ook voor onderhoud op afstand door leveranciers, een klassieke zwakke plek in OT.

🔄 Welke alternatieven zijn er voor RDP?

Bij het veelbesproken incident bij de waterzuivering in Oldsmar (Florida, 2021) ging het niet om RDP maar om TeamViewer, met een gedeeld wachtwoord op een verouderde Windows 7-pc. Of het werkelijk een aanval was, werd later betwijfeld, maar de les blijft: elk remote-desktopmiddel vraagt dezelfde discipline.

❓ Veelgestelde vragen

Op welke poort draait RDP?

RDP luistert standaard op poort 3389, zowel over TCP als, sinds RDP 8.0, over UDP. Een RD Gateway verpakt RDP-verkeer in HTTPS op poort 443. Het wijzigen van de standaardpoort helpt nauwelijks, omdat scanners RDP ook op andere poorten herkennen.

Is RDP veilig genoeg voor gebruik in OT?

RDP is veilig genoeg in OT als het alleen intern wordt gebruikt, achter een jump server met MFA, met Network Level Authentication en actuele patches. Direct vanaf internet bereikbare RDP-poorten zijn daarentegen een van de belangrijkste toegangsroutes voor ransomware. De beveiliging zit dus vooral in de architectuur eromheen.

Wat is Network Level Authentication bij RDP?

Network Level Authentication (NLA) is een RDP-functie waarbij de gebruiker zich aanmeldt voordat de host een volledige sessie opbouwt. Daardoor kost een aanval minder middelen op de host en zijn kwetsbaarheden zoals BlueKeep alleen nog met geldige inloggegevens te misbruiken. Microsoft raadt aan NLA altijd aan te laten staan.

Wat was BlueKeep?

BlueKeep (CVE-2019-0708) was een kritieke kwetsbaarheid uit 2019 in Remote Desktop Services van oudere Windows-versies, van Windows XP tot en met Windows 7 en Server 2008 R2. Een aanvaller kon zonder inloggen code uitvoeren, waardoor de fout zich als een worm kon verspreiden. Microsoft bracht daarom ook patches uit voor niet meer ondersteunde systemen.

Kan ik RDP gebruiken op Windows Home?

Windows Home kan alleen als RDP-client verbinding maken met andere computers, niet zelf als RDP-host dienen. Daarvoor is Windows Pro, Enterprise, Education of Windows Server nodig. In industriële omgevingen draaien HMI’s en engineering stations daarom vrijwel altijd op Pro-, Enterprise- of IoT-edities.

Hoe herken ik RDP-misbruik in mijn logbestanden?

RDP-misbruik is te herkennen aan aanmeldgebeurtenissen met logontype 10 (event 4624) op onverwachte tijden of vanaf onbekende bronnen, en aan reeksen mislukte pogingen (event 4625). Stuur deze gebeurtenissen naar een SIEM en vergelijk ze met geplande onderhoudsvensters. Sessies die niet via de jump server lopen, verdienen extra aandacht.

📌 Samengevat

RDP is het standaardprotocol van Microsoft voor grafisch beheer op afstand van Windows-systemen, en daardoor zowel onmisbaar als een veelgebruikte aanvalsroute. In OT-omgevingen hoort RDP alleen intern te lopen, via een jump server in de IDMZ met MFA, Network Level Authentication, beperkte rechten, sessielogging en tijdig patchen, in lijn met IEC 62443 en de Cyberbeveiligingswet.